要約

  • RFC 9772は、能動OAMパケットが監視対象と同じ前向き経路、インターフェース、QoSをたどることを求める。管理VNIの応答は、その管理チャネル試験の証跡であり、全テナント通信の証明ではない。
  • テナント間のエンドツーエンド試験は明示的に対象外である。サービスチェーン、ワークロード、利用者の取引には、それぞれ別の観測が必要になる。
  • 結果にはVNI、エントロピー、QoS、方向、端点、時間帯を結び付けるべきだ。運用報告は「最後に確認できた境界」を示し、未試験の上位層を正常と推定してはならない。

管理用のICMPはきれいに往復していた。それでも、あるテナントの接続はタイムアウトを繰り返した。この組み合わせは矛盾ではない。二つのパケットが同じ場所を終点にしていなかったからである。

RFC 9772は、Geneveネットワークにおける能動的な運用・管理・保守の要件と枠組みを定める。GeneveはEthernetやIPなどを物理アンダーレイ上にカプセル化し、メタデータを運べる。能動OAMは専用の試験パケットを注入し、障害検出や性能観測に用いる。ICMP、BFD、STAMPはその例だが、返ってきたプロトコル名だけでは測定対象は決まらない。

重要なのは、試験パケットが何を代表するよう構成されたかである。どのVNIを使い、どのフローキーで経路を選び、どのQoSを受け、どこで終端し、どの時間帯を観測したのか。その定義を失った応答は、技術的には正しくても運用上は過大解釈されやすい。

同一運命は設定によって作られる

RFC 9772は、OAMパケットが監視対象のデータとインバンドであり、前向き方向で同じリンクとインターフェースを通り、同じQoS処理を受けることを要求する。複数経路が存在するアンダーレイでは、対象フローと同じ経路を選ばせるためのエントロピー情報も必要になる。

この要件は「トンネル正常」という表示の粗さを露呈する。一つのGeneveトンネルには複数のVNI、テナント、キュー、ECMP分岐があり得る。固定されたフローキーのプローブが観測するのは、そのうち一つの選択である。別のエントロピーバケットに障害があれば、緑と赤は同時に成立する。

特定のテナントフローを監視したいなら、そのフローに結び付くVNIと同じネットワーク処理を試験パケットに与えなければならない。小さいパケット一つを低負荷時に送った結果は、MTU近傍のパケットや混雑時の別キューまで保証しない。RFC 7799が整理するように、能動測定は専用トラフィックを導入する方法であり、生産トラフィックそのものではない。

管理VNIは意図的にテナントから分離される

RFC 9772はGeneve制御チャネルを設け、既定値1の管理VNIを推奨する。このチャネルはテナントデータを運んではならず、受信したパケットをテナントシステムへ転送してもならない。一方、Geneveのカプセル化・デカプセル化処理を試すため、管理VNIはその処理のテナント側で終端することが望ましい。

管理VNI上のICMP要求は、遠端でデカプセル化され、ローカル管理機能に渡され、応答を生成できる。その応答は再びGeneveに包まれて戻る。これにより、単純な管理ネットワークのpingでは見えないカプセル化処理やハードウェアの間欠障害を発見できる可能性がある。

しかし、そこにテナントは存在しない。プローブはテナントのファイアウォール、仮想アクセス点のポリシー、サービスメッシュ、ロードバランサ、アプリケーションプロセス、認証基盤、ストレージを実行していない。管理VNIが安全に隔離されていることと、管理VNIの成功をテナント健全性に拡張できないことは、同じ設計の表裏である。

RFCは、テナント固有の状態を知りたい場合には、そのサービスフローに対応するVNIで試験し、同じ処理を経験させるよう求める。これは証拠を対象に近づける。ただし、テナントシステム間のエンドツーエンド試験は明確に対象外とされている。ネットワーク内で同じ扱いを受けたことと、利用者の処理が成功したことは別である。

往復結果には非対称性が含まれる

同一経路性の要件は、試験の入口から出口へ向かう前向き方向について書かれている。応答を観測すると、さらに戻り方向の情報が加わる。二つの方向が同一経路を通るとは限らない。別のリンク、キュー、ポリシー、障害領域を選ぶことがある。

したがって、往復時間は二方向の合成値であり、一つの経路が双方向で正常だという証明ではない。応答がない場合も、前向きパス、遠端の分類や処理、制御面レート制限、戻りパス、収集器のどこで失われたかは分からない。タイムアウトは調査開始の証跡であって、故障位置の確定ではない。

応答がある場合に言えることは、構成したパケットが受理され、遠端のOAMまたは管理機能に届くまでの処理を通り、返答が作られ、観測時間内に戻ったということだ。全ECMP経路、全時刻、全パケット長、全サービスクラスを試したことにはならない。サンプルを増やせば信頼度は上がるが、観測範囲を記録する義務は消えない。

NVEの応答と利用者の成功の間

RFC 9521は、ポイントツーポイントGeneveトンネルでBFDを使い、トンネル端点または仮想アクセス点間の連続性を監視する。高速な障害検出に有効だが、BFDはテナントのHTTP要求やデータベース更新を代行しない。

STAMPの測定も、定義したセッションにおける遅延や損失の証跡である。ロードバランサが正常なバックエンドを選んだか、ワークロードに処理能力があったか、依存サービスが応答したか、利用者が結果を受け取ったかは、アプリケーション側の証跡を要する。健全なオーバーレイの上でアプリケーションは失敗できるし、失敗したネットワークの上でもキャッシュや再試行が一時的に成功を見せる。

運用設計は証拠の階段を持つべきである。第一にVNI、エントロピー、QoS、宛先を記録する。第二に送信側NVEでの受理とカプセル化を確認する。第三に対象前向きフローとの同一処理を確かめる。第四に遠端のデカプセル化とOAM識別を記録する。第五に応答生成、第六に戻り到着、第七に時間と経路の反復カバレッジ、第八にテナント固有試験、最後にアプリケーション合成取引を置く。

低い段の成功は上の段の代わりにはならない。「UP」という一語だけを保存すると、障害時に必要な情報を自ら捨てることになる。「NVE間の管理VNI応答を確認。テナントVNIとアプリケーションは未試験」と表示すれば、次の責任者が明確になる。限定された文章の方が、広い緑色よりも意思決定を速くする。

保護機構も観測結果に現れる

RFC 9772は、Geneve制御面へパントされるOAMパケットのレートを制限し、過負荷を防ぐよう求める。また、内部TTLまたはHop Limitが255でないパケットは破棄しなければならない。いずれも必要な防御だが、欠落した応答の原因候補になる。

高負荷時のレート制限は、経路障害に似た損失を生む。誤った形式のプローブは測定対象へ到達する前に拒否される。時計のずれは遅延値を壊し、収集器の損失は遠端障害を装う。試験設定、受理結果、レート制限カウンタ、時計品質、収集基盤の状態を結果と一緒に残す必要がある。

参照資料は特定ベンダーや事業者のRFC 9772導入を証明しておらず、実事故や製品性能も示していない。ここから得られるのは、測定結果を生成したパケットと対象に結び付け続けるという設計原則である。返事があったからこそ、何がまだ答えていないかを明示できる。

出典